CVE-2026-67276: vulnerabilidad crítica en Mikrotik RouterOS

🚨 Alerta crítica: CVE-2026-67276 afecta a Mikrotik RouterOS. La validación incompleta de la clave pública RSA en SSH permite a un atacante con el módulo conocido falsificar una firma y abrir un canal de comandos sin la clave privada. Se recomienda actualizar inmediatamente a las versiones corregidas.

Cadena de riesgo y respuesta para CVE-2026-67276

Resumen ejecutivo

Campo	Valor
CVE	CVE-2026-67276
Fabricante	Mikrotik
Producto	RouterOS
Fecha de publicación	2026-09-05T20:17:17.977Z
Severidad	CRITICAL
CVSS 4.0	9.2 (CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/…)
Puntuación de prioridad (RyzerBot)	215
Acción recomendada	Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada.

Qué es la vulnerabilidad

RouterOS no compara el exponente RSA al cotejar una clave pública SSH con las claves autorizadas. Solo verifica el tipo de clave y el módulo. Dado que la verificación de la firma utiliza la clave suministrada por el cliente, un atacante que conozca el módulo RSA autorizado puede presentar una clave con exponente 1, generar una firma válida y abrir un canal de comandos SSH como el usuario objetivo sin poseer la clave privada. El problema está clasificado como CWE-347: Improper verification of cryptographic signature.

Productos y versiones vulnerables

Según la fuente oficial CVE.org, las siguientes versiones de RouterOS están afectadas:

Versión	Estado	Corregida a partir de
7.24	Afectada	7.24.2 (Stable)
7.0.0 – 7.23.x	Afectada	7.23.4 (Long-term)
6.0.0 – 6.49.x	Afectada	6.49.21 (Long-term)

Impacto y riesgo

Confidencialidad, integridad y disponibilidad altas (VC:H/VI:H/VA:H) según CVSS 4.0.
Permite acceso remoto no autenticado a la consola SSH con privilegios del usuario objetivo.
No requiere interacción del usuario ni privilegios previos (PR:N, UI:N).
La complejidad de ataque es alta (AC:H) porque el atacante debe conocer el módulo RSA autorizado.

Estado de explotación conocida

⚠️ Las fuentes consultadas (NVD, CERT.pl, avisos de Mikrotik) no reportan explotación activa en la naturaleza. La selección de esta CVE por RyzerBot se basa en su publicación reciente y puntuación CVSS ≥ 9.0, no en evidencia de explotación.

Indicadores de compromiso (IOC)

🔍 No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.

Cómo comprobar si estás afectado

Accede a la interfaz de administración de RouterOS (WinBox, WebFig o CLI).
Ejecuta /system package print o /system resource print para obtener la versión actual.
Compara la versión con la tabla de versiones vulnerables anterior.
Si la versión es anterior a las corregidas (6.49.21, 7.23.4, 7.24.2), el dispositivo está expuesto.

Mitigación y actualización

🛡️ La única mitigación completa es actualizar RouterOS a una versión corregida:

Long-term 6.x: 6.49.21 o superior.
Long-term 7.x: 7.23.4 o superior.
Stable 7.x: 7.24.2 o superior.

Pasos recomendados:

Descargar la imagen de actualización desde mikrotik.com/download.
Subir el archivo al router (/file) y reiniciar con /system package update o mediante WinBox.
Verificar la versión tras el reinicio.
Revisar logs SSH (/log print where topics~"ssh") en busca de intentos de autenticación anómalos.

Checklist para administradores

☐ Identificar todos los dispositivos RouterOS en la red.
☐ Confirmar versión actual en cada dispositivo.
☐ Programar ventana de mantenimiento para aplicar parches.
☐ Realizar backup de configuración antes de actualizar.
☐ Aplicar actualización a la versión corregida correspondiente.
☐ Verificar versión post-actualización y funcionalidad SSH.
☐ Monitorizar logs de autenticación SSH durante 48 h.
☐ Documentar la incidencia y acciones tomadas.

Preguntas frecuentes

¿Qué versiones exactas corrigen la vulnerabilidad?: 6.49.21 (Long-term), 7.23.4 (Long-term) y 7.24.2 (Stable).
¿Puedo mitigar el riesgo sin actualizar?: No se publica ninguna mitigación alternativa oficial; la actualización es la única solución completa.
¿La vulnerabilidad afecta a otros productos Mikrotik?: Según las fuentes, solo RouterOS en las versiones indicadas.
¿Se ha observado explotación en la wild?: No hay evidencia pública de explotación activa en las fuentes consultadas.
¿Dónde descargar los parches?: En la página oficial de descargas de Mikrotik: mikrotik.com/download.
¿Qué CWE se asigna?: CWE-347: Improper verification of cryptographic signature.